Gdy ryzyko przestaje być tabelą
Pierwsze lata po wdrożeniu COSO II pokazały coś bardzo wyraźnie: sama metodologia nie wystarczy. Organizacje zaczęły budować rejestry ryzyk, ale szybko okazało się, że bez procesu i właścicieli stają się one statycznymi dokumentami — aktualizowanymi „na audyt”, a nie na potrzeby decyzji.
Ryzyko nadal było obecne, ale w oderwaniu od operacji.
To był moment, w którym zaczęło się prawdziwe pytanie: jak sprawić, żeby ryzyko „żyło” w organizacji?
Punkt zwrotny
2008
Przejście od dokumentu do procesu
To wtedy zaczęły powstawać pierwsze systemowe wdrożenia realizowane przez PBSG — oparte nie tylko na modelu COSO II, ale na jego operacjonalizacji.
Ryzyko zaczęło być przypisywane do procesów, celów i właścicieli.
Zamiast jednego rejestru pojawiły się mechanizmy:
– cyklicznej identyfikacji,
– oceny wpływu na cele,
– przypisywania odpowiedzialności,
– monitoringu działań.
Ten etap uświadomił nam jedną, kluczową rzecz: ryzyko nie działa w dokumencie — działa w procesie. Dopiero wtedy, gdy ma właściciela, cykl i powiązanie z decyzją, zaczyna mieć znaczenie dla organizacji. System zarządzania ryzykiem nie jest więc zbiorem zapisów, ale mechanizmem działania, który porządkuje odpowiedzialność i kierunek podejmowanych decyzji.
Co się zmieniło, gdy ryzyko zaczęło działać
Organizacje przestały traktować ryzyko jako obowiązek raportowy, a zaczęły wykorzystywać je jako element zarządzania.
Najważniejsze zmiany:
– ryzyko zostało powiązane z celami biznesowymi,
– pojawili się właściciele ryzyk w strukturze organizacyjnej,
– monitoring przestał być incydentalny,
– decyzje zaczęły opierać się na danych, nie intuicji.
Proces zamiast dokumentu
To doświadczenie ukształtowało jedno z najważniejszych podejść PBSG:
system zarządzania nie może istnieć tylko na papierze.
Musi być częścią codziennego działania organizacji.